Acuerdo de Encargo de Tratamiento (DPA)

conforme al art. 28 RGPD · Versión de: septiembre de 2026 · Versión 1.2

Preámbulo

Este Acuerdo de Encargo de Tratamiento regula los derechos y obligaciones de las partes en relación con el tratamiento de datos personales por parte del Encargado por cuenta del Cliente conforme al art. 28 RGPD.

Este Acuerdo se aplica a todas las actividades en las que el Encargado, sus empleados o los subencargados contratados traten datos personales por cuenta del Cliente. Los términos utilizados en este Acuerdo se entenderán conforme a las definiciones del art. 4 RGPD. Este DPA forma parte del contrato principal (Condiciones de uso); en caso de conflicto relativo al tratamiento de datos personales, prevalecerán las disposiciones de este DPA.

§ 1 Partes del Acuerdo

1.1 Cliente

El Cliente es el usuario (fotógrafo / empresa) registrado en Pixalo que utiliza la plataforma para tratar datos personales.

La función del Cliente en materia de protección de datos se determina conforme a la sección 1.3.

1.2 Encargado del tratamiento

El Encargado es el encargado del tratamiento en el sentido del art. 4 n.º 8 RGPD.

1.3 Funciones de las partes

Cuando el Cliente determine los fines y medios del tratamiento (p. ej., al recoger datos mediante formularios de consentimiento, tarjetas QR o pedidos en la tienda online), el Cliente será el Responsable del tratamiento en el sentido del art. 4 n.º 7 RGPD y el Encargado actuará como su encargado del tratamiento.

Cuando el propio Cliente actúe como encargado del tratamiento para un tercero (p. ej., sobre la base de un acuerdo de encargo de tratamiento con una escuela o guardería), el Encargado será contratado como subencargado en el sentido del art. 28 apdo. 4 RGPD.

En este caso, el Cliente garantiza que dispone de la autorización necesaria de su responsable del tratamiento para contratar al Encargado y a los subencargados enumerados en el Anexo 2 (incluidos los posibles elementos de terceros países), y que está autorizado para transmitir al Encargado las instrucciones de su responsable.

§ 2 Objeto y duración del Acuerdo

2.1 Objeto

El objeto de este Acuerdo es el tratamiento de datos personales por parte del Encargado en el marco de la prestación de la plataforma SaaS Pixalo.

Pixalo es una plataforma técnica para operar tiendas digitales de fotógrafos. Pixalo no es un marketplace ni un proveedor de servicios de pago y no actúa como parte contractual entre el Cliente y sus clientes finales.

El tratamiento de los datos contractuales, de cuenta, facturación, pago, seguridad y comunicación del Cliente para fines propios del Encargado (p. ej., registro y gestión de cuentas, facturación de suscripciones, contabilidad propia del Encargado, prevención del fraude y abuso, comunicación contractual) se realiza bajo la propia responsabilidad del Encargado en materia de protección de datos y no está sujeto a este DPA. Los detalles se establecen en la Política de privacidad de Pixalo.

2.2 Duración

Este Acuerdo se aplica durante toda la relación de uso. Finaliza automáticamente con la terminación del contrato principal (Condiciones de uso).

Las obligaciones legales de conservación no se ven afectadas por la terminación del contrato. Las obligaciones relativas a eliminación, confidencialidad y documentación seguirán siendo aplicables después de la finalización del contrato.

§ 3 Tipo, finalidad y alcance del tratamiento

3.1 Tipo de tratamiento

El tratamiento comprende:

• Recogida, almacenamiento y organización
• Adaptación y modificación (p. ej., reducción de la resolución de archivos de imagen, creación de imágenes de vista previa y versiones con marca de agua)
• Puesta a disposición, transmisión y registro
• Limitación, eliminación y archivo
• Transmisión a destinatarios y proveedores de servicios integrados por el Cliente

3.2 Finalidad del tratamiento

• Funcionamiento de la plataforma y de las tiendas online de fotógrafos
• Puesta a disposición de imágenes de vista previa y descargas
• Procesamiento de pedidos
• Garantía de la seguridad, estabilidad y prevención de abusos

3.3 Categorías de interesados

• Personas fotografiadas y personas que van a ser fotografiadas (incluidos menores)
• Clientes finales del Cliente (p. ej., padres, tutores legales, compradores en la tienda online)
• Personas de contacto de las instituciones (p. ej., profesores, educadores)
• Personas que conciertan citas o realizan reservas
• Empleados y colaboradores del Cliente

3.4 Categorías de datos personales

• Nombres y datos de contacto
• Datos de asignación (p. ej., clases, grupos, códigos de acceso)
• Datos de pedidos y transacciones
• Datos de imagen (archivos originales cargados, imágenes de vista previa con marca de agua, miniaturas, archivos de imagen adquiridos)
• Metadatos técnicos (p. ej., horas de acceso, direcciones IP)

En el Anexo 3 figura una descripción detallada.

§ 4 Obligaciones del Cliente

Cuando el Cliente sea el Responsable del tratamiento, está obligado a:

• garantizar la licitud del tratamiento de datos
• garantizar la existencia de bases jurídicas válidas para el tratamiento
• informar debidamente a los interesados
• obtener los consentimientos necesarios (especialmente en el caso de menores)
• dar al Encargado únicamente instrucciones lícitas
• garantizar la exactitud de los datos transmitidos

El Encargado no está sujeto a una obligación general de revisar las bases jurídicas, los consentimientos o los contenidos elegidos por el Cliente. La obligación de advertir sobre una instrucción que el Encargado considere ilícita conforme al § 6 no se ve afectada.

Cuando el propio Cliente actúe como encargado del tratamiento para un tercero (sección 1.3), estas obligaciones recaen principalmente en dicho tercero como responsable del tratamiento. En este caso, el Cliente está obligado a transmitir únicamente instrucciones documentadas de su responsable y a garantizar que la contratación del Encargado haya sido autorizada por dicho responsable.

§ 5 Obligaciones del Encargado

El Encargado se compromete a:

• tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente
• aplicar medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD
• mantener la confidencialidad del tratamiento
• emplear únicamente a personas sujetas a obligaciones de confidencialidad
• ayudar al Cliente a atender las solicitudes de ejercicio de derechos de los interesados
• ayudar al Cliente a realizar evaluaciones de impacto relativas a la protección de datos
• notificar al Cliente las violaciones de datos sin demora indebida
• eliminar o devolver los datos al finalizar el contrato

El Encargado adopta medidas razonables para garantizar la disponibilidad del sistema dentro del alcance acordado contractualmente.

Si el Encargado está obligado a tratar datos personales en virtud del Derecho de la Unión o de un Estado miembro, informará al Cliente de dicha obligación legal antes del tratamiento, salvo que esa legislación prohíba facilitar dicha información.

§ 6 Derecho de instrucción

El Encargado trata los datos personales exclusivamente conforme a las instrucciones del Cliente. Las Condiciones de uso y este DPA constituyen las instrucciones básicas documentadas.

Las instrucciones deben enviarse en forma de texto a [email protected]. En casos urgentes, pueden darse verbalmente; el Cliente las confirmará en forma de texto sin demora indebida. El Encargado documenta las instrucciones recibidas y su ejecución.

Si el Encargado considera que una instrucción infringe la legislación aplicable, informará al Cliente sin demora indebida. Tendrá derecho a suspender la ejecución de la instrucción hasta que el Cliente la confirme o modifique.

§ 7 Confidencialidad

El Encargado garantiza que todas las personas encargadas del tratamiento estén obligadas a guardar confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

Esta obligación seguirá vigente después de la terminación del contrato.

§ 8 Medidas técnicas y organizativas

El Encargado aplica medidas técnicas y organizativas adecuadas conforme al art. 32 RGPD para garantizar un nivel de seguridad apropiado al riesgo.

Las medidas se documentan en el Anexo 1 (TOM) y constituyen una parte vinculante de este contrato.

El Encargado podrá seguir desarrollando las medidas siempre que no se reduzca el nivel de protección. El Encargado informará al Cliente de cambios sustanciales en las TOM de forma adecuada (p. ej., por correo electrónico o en el panel de control).

§ 9 Subencargados

9.1 Autorización general

El Cliente concede al Encargado una autorización general para contratar subencargados.

Los subencargados utilizados en el momento de la celebración del contrato se enumeran en el Anexo 2.

9.2 Modificaciones

El Encargado informará al Cliente de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados.

El Cliente podrá oponerse en forma de texto dentro de los 14 días siguientes a la recepción de la información por motivos importantes relacionados con la protección de datos. Si no formula objeción dentro de dicho plazo, se considerará otorgado el consentimiento. En caso de objeción, las partes intentarán primero encontrar una solución razonable; el § 16 no se ve afectado.

La información podrá enviarse por correo electrónico o a través del área de cliente.

9.3 Vinculación contractual

El Encargado garantiza que los subencargados estén sujetos contractualmente, como mínimo, a las mismas obligaciones de protección de datos acordadas en este Acuerdo. Los datos personales solo se transmitirán después de que el Encargado se haya cerciorado del cumplimiento de dichas obligaciones.

9.4 Responsabilidad por los subencargados

Cuando un subencargado incumpla sus obligaciones de protección de datos, el Encargado responderá ante el Cliente del cumplimiento de las obligaciones de dicho subencargado conforme al art. 28 apdo. 4 RGPD.

§ 10 Transferencias a terceros países

Los datos personales solo se transfieren a terceros países si se cumplen los requisitos especiales de los arts. 44 a 49 RGPD.

Esto puede garantizarse, en particular, mediante:

• Decisión de adecuación de la Comisión Europea (art. 45 RGPD)
• Cláusulas contractuales tipo (art. 46 apdo. 2 letra c RGPD)
• Medidas técnicas y organizativas de protección adicionales

El almacenamiento original de los datos (alojamiento, base de datos, almacenamiento de objetos, copias de seguridad y envío de correo electrónico) se realiza en la región de AWS Fráncfort (eu-central-1). Cuando los contenidos se distribuyen a través de la red de distribución de contenidos (Amazon CloudFront) y de la red de Cloudflare (DNS, proxy inverso, terminación TLS, protección DDoS), los contenidos cifrados y los datos de conexión pueden almacenarse en caché o tratarse en ubicaciones de todo el mundo según la ubicación del usuario; esto se basa en las certificaciones de AWS y Cloudflare conforme al Marco de Privacidad de Datos UE-EE. UU. y en las Cláusulas Contractuales Tipo de la UE de los respectivos acuerdos de tratamiento de datos. Los servicios con elementos de terceros países integrados por el propio Cliente (p. ej., sus propios servicios de analítica) son responsabilidad del Cliente.

§ 11 Asistencia en los derechos de los interesados

El Encargado ayuda al Cliente, en una medida razonable, a atender las solicitudes de los interesados conforme a los arts. 15 a 22 RGPD y, teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone, a cumplir las obligaciones de los arts. 30 y 32 a 36 RGPD.

Las solicitudes dirigidas directamente al Encargado se remiten al Cliente sin demora indebida. Solo se proporciona una respuesta sustantiva a interesados o terceros con la aprobación previa del Cliente, salvo que exista una obligación legal de responder directamente.

El Encargado podrá solicitar una remuneración razonable por servicios de asistencia que excedan del alcance acordado contractualmente.

§ 12 Notificación de violaciones de datos

El Encargado notificará al Cliente las violaciones de datos personales sin demora indebida después de tener conocimiento de ellas. También se comunicarán los casos sospechosos debidamente fundamentados; si todavía no se dispone de toda la información, podrá facilitarse por fases.

La notificación contendrá, como mínimo:

• Descripción de la naturaleza de la violación
• Categorías y número aproximado de interesados y conjuntos de datos afectados
• Consecuencias probables de la violación
• Medidas adoptadas o propuestas para subsanar la violación
• Momento de detección y período estimado del incidente
• Persona de contacto para obtener más información

La obligación de notificar a la autoridad de control conforme al art. 33 RGPD corresponde al Cliente. El Encargado asistirá al Cliente en la medida necesaria en el cumplimiento de sus obligaciones conforme a los arts. 33 y 34 RGPD.

El Encargado también notificará sin demora indebida las interrupciones significativas en la ejecución del encargo, las infracciones de las disposiciones de protección de datos o de este Acuerdo por parte del Encargado o de sus empleados, así como las inspecciones o medidas de las autoridades de control en la medida en que estén relacionadas con el tratamiento encargado.

§ 13 Derechos de auditoría

El Cliente tiene derecho a verificar el cumplimiento de este contrato.

A petición del Cliente, el Encargado facilitará toda la información necesaria para demostrar el cumplimiento. Esto puede realizarse, en particular, mediante:

• Autoevaluaciones y documentación
• Certificaciones e informes de auditoría
• Respuesta a cuestionarios

Las inspecciones in situ se realizarán previa notificación en forma de texto (al menos 14 días), durante el horario comercial habitual, sin perturbaciones evitables de las operaciones y como máximo una vez en cualquier período de doce meses. En caso de un incidente concreto de protección de datos o a petición de una autoridad de control, no se aplicarán las restricciones de preaviso y frecuencia. Las inspecciones se limitarán a los datos del Cliente y a los sistemas relevantes para ellos; los datos de otros clientes y los secretos empresariales del Encargado seguirán protegidos. La facilitación de pruebas habituales será gratuita; por asistencia adicional, el Encargado podrá solicitar una remuneración razonable.

§ 14 Eliminación y devolución

Al finalizar el contrato, el Encargado procederá de la siguiente manera, a elección del Cliente:

• el Encargado elimina todos los datos personales, salvo que exista una obligación de conservación
• el Encargado devuelve los datos, previa solicitud, en un formato común y legible por máquina
• el Encargado garantiza la eliminación o devolución también por parte de los subencargados contratados
• el Encargado entrega los documentos sujetos a una obligación legal de conservación del Cliente (§ 147 AO, § 257 HGB — registros contables y facturas, por regla general, ocho años; determinados libros y estados financieros, diez años), a elección del Cliente, para que este los conserve por su cuenta, o los almacena, sobre la base de una instrucción documentada continuada, durante el plazo legal correspondiente, bloqueados y exclusivamente con fines de archivo

Si el Cliente no ejerce su elección dentro de los 30 días siguientes a la terminación, los datos se eliminan. La eliminación, incluida la eliminación por parte de los subencargados, se confirmará por escrito previa solicitud.

Los datos personales contenidos en las copias de seguridad de la base de datos quedan bloqueados para el uso operativo y se sobrescriben automáticamente conforme al ciclo de retención de copias de seguridad (actualmente siete días); los archivos multimedia están sujetos a los mecanismos de almacenamiento y eliminación descritos en el Anexo 1. Las restauraciones desde copias de seguridad se realizan exclusivamente para resolver fallos o responder a incidentes de seguridad; las instrucciones de eliminación emitidas previamente se vuelven a aplicar después de una restauración. La documentación que sirve como prueba del tratamiento correcto se conserva más allá de la finalización del contrato conforme a los plazos aplicables.

§ 15 Responsabilidad

La responsabilidad de las partes se rige por las disposiciones legales, en particular por el art. 82 RGPD.

El Encargado no responde de daños derivados de instrucciones incorrectas, contenidos ilícitos o falta de consentimientos del Cliente. Esto solo se aplica en la medida en que el daño sea atribuible exclusivamente al ámbito de responsabilidad del Cliente y el Encargado no haya contribuido a causarlo. Las disposiciones legales imperativas sobre responsabilidad, en particular el art. 82 RGPD, no se ven afectadas.

§ 16 Terminación extraordinaria

El Cliente podrá resolver el contrato principal y este DPA sin preaviso en caso de incumplimiento grave por parte del Encargado de la legislación de protección de datos o de este Acuerdo, en particular por una falta sustancial de aplicación de las medidas técnicas y organizativas acordadas o una negativa ilícita a permitir derechos de inspección. En caso de incumplimientos menores, el Cliente fijará primero un plazo razonable para subsanarlos.

El Encargado tendrá derecho a una terminación extraordinaria si el Cliente se opone a la contratación de un subencargado conforme al § 9, no puede encontrarse una solución razonable y el servicio no puede prestarse sin el subencargado afectado, o si el Cliente insiste en una instrucción manifiestamente ilícita.

§ 17 Disposiciones finales

• Este DPA se celebra electrónicamente al registrarse.
• Con su aceptación adquiere carácter jurídicamente vinculante (art. 28 apdo. 9 RGPD).
• Las modificaciones requieren forma de texto.
• Los cambios sustanciales de este DPA se facilitan al Cliente como una nueva versión para su aceptación; la aceptación se registra con fecha/hora, versión y cuenta. Los cambios relativos a subencargados se rigen por el § 9 y los cambios de las TOM por el § 8.
• Ambas partes tratarán confidencialmente los secretos empresariales y la información de seguridad de la otra parte, también después de la finalización del contrato; seguirán permitidas las divulgaciones con fines de exoneración conforme al art. 82 apdo. 3 RGPD o a autoridades competentes.
• Queda excluido el derecho de retención respecto de los datos personales tratados en virtud de este encargo y de los soportes de datos asociados.
• Se aplica el derecho alemán.
• El fuero competente será, cuando sea legalmente admisible, el domicilio social del Encargado.
• Si alguna disposición fuera inválida, el resto del Acuerdo seguirá siendo válido.

Anexo 1 – Medidas técnicas y organizativas (TOM)

Este anexo describe las medidas conforme al art. 32 RGPD.

1. Control de acceso físico

Medidas para impedir el acceso físico no autorizado a los sistemas de tratamiento de datos.

• Uso de centros de datos certificados con control de acceso físico
• No existen servidores físicos propios fuera de los centros de datos

2. Control de acceso al sistema

Medidas para impedir el uso no autorizado de los sistemas.

• Autenticación robusta (directrices de contraseñas)
• Protección frente a intentos automatizados de inicio de sesión mediante limitación de frecuencia y restricciones temporales de acceso
• Transmisión cifrada (TLS)
• Autenticación multifactor para el acceso administrativo a la infraestructura
• Cuentas de administrador personales

3. Control de utilización

Medidas para limitar el uso a personas autorizadas.

• Sistemas de control de acceso basados en roles (RBAC)
• Principio de mínimo privilegio
• Revisión periódica de los derechos de autorización

4. Control de separación

Medidas para tratar por separado los datos de distintos clientes.

• Aislamiento lógico estricto entre clientes (multi-tenant)
• Control de acceso a nivel de base de datos basado en el ID del cliente
• Sin acceso visual a datos de otros clientes
• Separación de los entornos de desarrollo, pruebas y producción

5. Control de transmisión

Medidas para proteger la transmisión y el almacenamiento.

• Transmisión cifrada de datos (TLS 1.2+)
• Enlaces de descarga firmados con fecha de caducidad
• Cifrado de datos en reposo (cifrado del lado del servidor para la base de datos y el almacenamiento de objetos)
• Por regla general, los archivos con datos personales no se envían como adjuntos de correo electrónico sin cifrar; se accede a ellos mediante enlaces protegidos y limitados en el tiempo. La transmisión a los sistemas de correo electrónico se cifra durante el transporte (TLS) cuando el sistema receptor lo admite.

6. Control de introducción

Trazabilidad de la introducción y modificación de datos.

• Registro de acciones relevantes para la seguridad
• Archivo de los procesos de pedido con instantáneas inmutables de precios y pedidos y numeración consecutiva de facturas
• Control de versiones y procesos de revisión del código fuente
• Gestión centralizada de credenciales y secretos (sin credenciales codificadas de forma fija)
• Verificación de las firmas de webhooks de los proveedores de pago
• Conexión de cuentas de proveedores de pago mediante identificadores de cuenta; las credenciales de acceso del Cliente no se almacenan

7. Control de disponibilidad

Protección frente a pérdida y destrucción.

• Copias de seguridad automatizadas diarias de la base de datos (retención rotativa de 7 días)
• Almacenamiento altamente redundante de archivos multimedia en el almacenamiento de objetos
• Infraestructura redundante
• Supervisión y alertas
• Protección DDoS y limitación de frecuencia

8. Capacidad de recuperación

• Procedimientos de recuperación definidos
• Creación automatizada de instantáneas y supervisión del estado por parte del proveedor de alojamiento

Anexo 2 – Subencargados

El Encargado utiliza las siguientes categorías de subencargados:

Amazon Web Services y Cloudflare están certificados conforme al Marco de Privacidad de Datos UE-EE. UU.; además, se aplican las Cláusulas Contractuales Tipo de la UE de los respectivos acuerdos de tratamiento de datos (AWS RGPD DPA, Cloudflare DPA). El Encargado notificará los cambios previstos en esta lista conforme al § 9.

Los servicios integrados por el propio Cliente (p. ej., sus propias cuentas de proveedores de pago como Stripe o PayPal, su propio seguimiento de Google Analytics en la tienda online, sus propios proveedores de dominio y DNS) no son subencargados del Encargado; a este respecto, el propio Cliente es responsable.

Anexo 3 – Descripción de las actividades de tratamiento

Objeto del tratamiento

Prestación técnica de una plataforma SaaS para operar tiendas digitales de fotógrafos, incluido el almacenamiento, la puesta a disposición y la entrega de fotografías, así como el procesamiento de pedidos.

Duración del tratamiento

• Datos activos: duración de la relación de uso
• Enlaces de descarga: validez según la configuración del Cliente (de 7 a 90 días desde el pedido, por defecto 7 días); la configuración constituye una instrucción documentada. Tras el vencimiento se bloquea el acceso y los archivos ZIP generados se eliminan automáticamente.
• Copias de seguridad de la base de datos: rotativas, actualmente siete días; los archivos multimedia están sujetos a los mecanismos de almacenamiento y eliminación descritos en el Anexo 1
• Datos de facturas y registros contables relevantes conforme al derecho fiscal y mercantil: de acuerdo con el plazo legal de conservación (generalmente ocho o diez años); los demás componentes de los pedidos (p. ej., archivos de imagen, galerías, códigos de acceso) están sujetos a los plazos más breves de la relación de uso
• Registros de seguridad: máximo 90 días

Finalidad del tratamiento

• Prestación de las funciones de la plataforma
• Almacenamiento y entrega de fotografías (incluida la generación de imágenes de vista previa y versiones con marca de agua)
• Asignación de fotografías a personas mediante códigos de acceso y códigos QR
• Procesamiento y archivo de pedidos (incluida la facturación por cuenta del Cliente)
• Gestión de citas y reservas, cuando el Cliente utilice esta función
• Envío de correos electrónicos por cuenta del Cliente (p. ej., códigos de acceso a galerías, correos de pedidos y recordatorios, incluida la gestión de bajas)
• Gestión de solicitudes de soporte y contacto
• Garantía de seguridad, estabilidad y disponibilidad
• Transmisión de los datos de pedidos y transacciones necesarios para iniciar pagos y consultar su estado a los proveedores de servicios de pago integrados por el Cliente bajo su propia responsabilidad
• Reconocimiento de texto mediante IA en listas de clase proporcionadas por el Cliente para crear registros de alumnos (tratamiento dentro de la UE, sin uso para entrenamiento de modelos)

Tipos de datos personales

• Datos maestros y de contacto (nombres, direcciones de correo electrónico, direcciones de facturación y entrega, números de teléfono cuando se faciliten)
• Datos de asignación (clases, grupos, códigos de acceso, códigos QR, datos de citas y reservas)
• Datos de pedidos y transacciones (productos, cantidades, precios, estado de pago e identificadores de transacción de los proveedores de pago, así como, en su caso, método de pago, marca de la tarjeta, últimos cuatro dígitos del instrumento de pago y correo electrónico del pagador; el Encargado no trata datos completos de tarjetas ni cuentas bancarias)
• Datos de imagen (archivos originales cargados, imágenes de vista previa con marca de agua, miniaturas, archivos de imagen adquiridos), junto con metadatos técnicos de imagen
• Registros de consentimiento y base jurídica (p. ej., consentimientos documentados, estado de baja)
• Registros contractuales, de envío y comunicación (p. ej., aceptaciones de contratos, registros de envío)
• Datos técnicos (direcciones IP, horas de acceso, agente de usuario, registros de seguridad y errores)

Categorías de interesados

• Personas fotografiadas y personas que van a ser fotografiadas (incluidos menores)
• Clientes finales del Cliente (p. ej., padres, tutores legales, compradores en la tienda online)
• Personas de contacto de las instituciones (p. ej., profesores, educadores)
• Personas que conciertan citas o realizan reservas
• Empleados y colaboradores del Cliente

Cuando el propio Cliente actúe como encargado del tratamiento (sección 1.3), la información anterior se aplicará correspondientemente a la relación de subencargo; en ese caso, el responsable del tratamiento será el cliente del Cliente.